六、常见防火墙产品介绍

　　目前防火墙产品在网络安全产品中，算得上琳琅满目的一种，它主要分为基于代理服务方式和基于状态检测方式两大类，下面我们来简单介绍几种常见的产品：

　　1、Firewall-1 (CheckPoint)

　　这是最为流行一种防火墙，属于Unix、WinNT平台上的软件防火墙，状态检测型的，支持网络地址翻译（NAT）、流量分担、VPN、加密认证等功能。其综合性能较为优秀，因为首先其安全控制力度很高，可以进行基于内容的安全检查（例如对URL进行控制）；对某些应用，它甚至可以限制可使用的命令（如FTP）。其次，它不仅可以基于地址、应用设置过滤规则，而且还提供了多种用户认证机制，如User Authentication、Client Authentication和Session Authentication，使安全控制方式更趋灵活。再次，Firewall-1是一个开放的安全系统，提供了API，用户可以根据需要配置安全检查模块，如病毒检查模块，而且还提供了可安装在Bay路由器、Lannet交换机的防火墙模块。

　　由于Firewall-1采用状态检测方式，因而处理性能也较高，对于10BaseT接口，完全可以达到线速，号称可达80Mbps。此外，Firewall-1的用户管理方式也很优秀，用户可以通过GUI同防火墙管理模块通信，维护安全规则；而防火墙管理模块则负责编译安全规则，并下载到各个防火墙模块中。对于用户而言，管理线条十分清晰，不易疏漏，修改方便。同时Firewall-1管理界面的功能丰富，不仅可以对AXENT Raptor、Cisco PIX等防火墙进行管理，还可以在管理界面中对Bay、Cisco、3Com等公司的路由器进行ACL设置。

　　Firewall-1存在的问题主要是其底层操作系统对路由的支持，以及不具备ARP Proxy等方面，特别是后者，在做地址转换（NAT）时，不仅要配置防火墙，还要对操作系统的路由表进行修改，大大增加了NAT配置的复杂程度。

　　2、PIX (Cisco)

　　PIX是典型的网络层包过滤专用防火墙，属于硬件防火墙，状态检测型的，支持网络地址翻译（NAT），在国内的163/169网络上面应用很多。由于它采用了专用的操作系统，因此减少了黑客利用操作系统BUG攻击的可能性。就性能而言，PIX是同类产品中最好的，对100BaseT可达线速。因此，对于数据流量要求高的场合，如大型的ISP，应该是首选。

　　Cisco公司同样提供了集中式的防火墙管理工具Cisco Security Policy Manager，可以通过命令行方式或是基于Web的命令行方式对PIX进行配置，但这种方式不支持集中管理模式，必须对每台设备单独进行配置。而且，配置复杂的过滤规则是相当麻烦的。

　　 缺点是：对其他厂商产品的支持、日志管理、事件管理等方面没有Check Point防火墙管理模块那么强劲；没有能力防御应用层的攻击、无法进行内容过滤，例如Java、ActiveX以及病毒过滤等。

　　3、AXENT Raptor

　　与Firewall-1和PIX不同，Raptor完全是基于代理技术的软件防火墙，它是代理服务型防火墙中的佼佼者。这主要体现在，相对于其他代理型防火墙而言，可支持的应用类型多；相对于状态检测型防火墙而言，由于所采用的技术手段不同，使得Raptor在安全控制的力度上较上述产品更加细致。 Raptor防火墙管理界面也相当简单，甚至可以对NT服务器的读、写操作进行控制，并对SMB（Server Message Block）进行限制。对Oracle数据库，Raptor还可以作为SQL Net的代理，从而对数据库操作提供更好的保护。

　　缺点：由于Raptor防火墙所采用的技术，决定了其处理性能较前面两种防火墙低。而且对用户新增的应用，如果没有相应的代理程序，就不可能透过防火墙。

　　4、NetScreen

　　NetScreen独特之处是流量控制及实时监控流量控制功能，为网络管理员提供了全部监测和管理网络的信息，诸如DMZ，服务器负载平衡和带宽优先级设置等先进功能，它能同时响应高达5，000条防火墙策略规则，以及VPN加密（IPSec）VPN IPSEC，DES，Triple DES ，而且支持透明的无IP地址设置。

上一页  [1] [2] [3]